CISO とサイバーセキュリティ幹部が取締役会に向けて準備を整える方法

最高情報セキュリティ責任者は通常、サイバーセキュリティおよび IT チームのメンバーと協力して、組織のコンピュータ、Web サイト、およびアプリケーションのセキュリティを強化することに努めます。 以前は CISO の役割は主に戦術的なものであり、役員はサイバー脅威からの保護に完全に責任を負っていましたが、現在では、組織全体が集合体として脅威を適切に防止できるように、戦略計画を実施し調整することがその役割の中心となっています。

上場企業は取締役会にサイバー専門家を加えることには動いていないが、実際にはCISOが取締役会の役員として優れているという証拠がある。 今月、IANS Research、Artico Search、および CAP Group は、Russell 1000 Index (R1000) 全体で CISO の資格を評価し、信頼できる候補者の主な特徴をリストしたレポートを発表しました。

その結果、R1000 CISO の 14%、つまりおよそ 7 人に 1 人が、取締役会のポジションに必要な特性を備えていることがわかりました。 証券取引委員会 (SEC) がサイバー専門知識と透明性に関する新しい規則の最終決定に取り組んでいる中でこのレポートが発表されたことは注目に値します。

もちろん、SEC などが取締役会に CISO を増やすよう求めている理由の 1 つは、まさに CISO がその独自の分野での経験を取締役会での広範なビジネス ディスカッションに持ち込めるようにするためです。 しかし、最良の候補者が他のスキルセットを発揮できることも調査から明らかです。

「テクノロジーとサイバーセキュリティの専門知識だけでは、取締役会の取締役としては不十分です」と、CAPグループのCEO兼サイバー取締役会アドバイザーのブライアン・ウォーカー氏はプレスリリースで述べた。 「取締役会は戦略レベルで運営されており、複雑な専門分野ごとに新しい取締役を追加するのは拡張性がないため、ほとんどの取締役会では『ワントリック・ポニー』が入る余地はありません。」

CISO が取締役会で成功するために必要な重要な基準には、情報セキュリティの在職期間、部門横断的な専門知識、拡張能力、高度な教育などが含まれます。

報告書が述べているように、infosec の在職期間があるということは、その個人が CISO として約 5 年間の「深い専門知識」と情報セキュリティ分野での 10 年以上の経験を誇ることを意味します。 このノウハウを持っていると、適切な質問をすることと、定着した思い込みに挑戦することの両方に役立ちます。

これに関連して、より幅広いビジネス経験も重要な要件となります。 同報告書では、創業者や戦略コンサルティングなど、サイバー以外の職務上の経験を持つCISOは、そのスキルが多岐にわたるため、取締役会の有力な候補者であると述べている。

これは次の前提条件、すなわちスケールを持つことへと直接つながります。 CISO が大規模なグローバル組織で情報セキュリティの責任者を務めた経験があるとします。これは、CISO が包括的かつ包括的な視点を持ち、幅広いステークホルダーとうまく折り合いをつけられる能力を示している可能性があります。

報告書によれば、取締役会の席で成功するためには、CISO が高度な教育を受ける必要がある。なぜなら、この要素は「外部利害関係者に対する取締役会の信頼性を高める」ものであり、「批判的思考と分析スキルを示す」ものだからである。確かにボード上の個人を助けます。

多様性は、CISO が取締役会への参加を希望する場合に備えるべきもう 1 つの、そしておそらく最も重要な特性です。

Artico Search のサイバー業務のパートナー兼エグゼクティブリクルーターである Steve Martano 氏はレポートの中で次のように述べています。取締役会構成の威信と多様性です。」

実際、報告書が述べているように、多様性基準の理論的根拠は、各取締役会メンバーがそれぞれ異なる、または新しい視点をテーブルに持ち込むことで、グループの盲点を特定し、潜在的な落とし穴を回避するのに役立つということです。 新しい取締役会メンバーの多様性は、おそらく彼らが女性、有色人種、または過小評価されている別のグループの出身であると認識していることを意味する可能性があります (これは SEC 規則 5605(f) に準拠します)。 「今日の世界では、取締役会は経験と考え方の多様性を求めており、過小評価されているグループに取締役会の機会を拡大しています」とマルタノ氏は付け加えた。

6月の報告書では、CISOの「取締役会の役割に対する準備状況は大きく異なる」と述べているが、マルタノ氏が言うように、データは「CISOの大部分が今後数年以内に取締役会の役割に適任者として出現する可能性がある」ことを示している。 。」 取締役会と CISO の両方は、「取締役会に即応できるサイバー専門家に対する期待を一致させることで利益を得」、CISO コミュニティが取締役会の長期的なニーズを満たす準備を整えることができます。

レポートでは、取締役会に参加するための最善の準備を整えるために、CISO は前述の 5 つの主要な特性を自分自身で特定する必要があると推奨しています。 また、CISOはソフトスキルを評価し、履歴書のギャップを分析し、個人ブランドの維持や多様なネットワークの育成に取り組むことでキャリアナラティブを強化する必要があります。取締役会の役割としてCISOを検討している企業に対して、レポートはラッセル1000から始めることを示唆しています。 、広範な検索網を張るだけでなく、多様性を優先し、取締役会の認証を必要としないようにする必要があります。上位 1,000 人の CISO のうち取締役会の資格を持っているのは約 2% だけであるため、有望な人材が締め出されてしまう可能性があります。

この記事の著者はフリーランスのジャーナリスト、ジェシカ・ビーブです。